用途：对代码库执行系统性安全审查，识别漏洞与泄露的密钥。适用场景包括项目发布或部署前、周期性安全复查、新增认证/API集成/用户输入处理之后、私有仓库开源前，以及准备安全合规审计时。输入需要待审计的代码库，可选指定聚焦领域（密钥、依赖、注入、认证）、合规框架（OWASP、ISO 27001、SOC 2）及既往审计结果作对比。
主要步骤与能力：1）扫描硬编码密钥，使用 grep 检索 API 密钥、token、密码、连接串和私钥等模式，发现真实密钥需立即删除、轮换凭证并用 git filter-branch 或 git-filter-repo 清理历史。2）检查 .gitignore 覆盖，用 git check-ignore 与 git ls-files 确认敏感文件未被跟踪，已跟踪的用 git rm --cached 取消跟踪。3）审计依赖，Node.js 用 npm audit、npx audit-ci --moderate；Python 用 pip-audit、safety check；R 用 renv::status()。4）检查注入漏洞，包括 SQL 字符串拼接、命令注入（system/exec/spawn）与 XSS（innerHTML、dangerouslySetInnerHTML、v-html），应使用参数化查询与安全渲染。5）审查认证授权，覆盖密码哈希（bcrypt/argon2）、会话/token 随机性与过期、端点鉴权、CORS 与 CSRF。6）检查配置安全，如生产环境 debug 模式、通配符 CORS、http:// 外链。7）按严重程度记录发现，生成 SECURITY_AUDIT_REPORT.md。
限制：资料未提供该技能的安装方式、运行平台或自动化程度说明。常见陷阱包括只检查当前文件而忽略 git 历史中的密钥、忽视开发依赖的供应链风险、误以为 .gitignore 能保护已提交文件、漏查 docker-compose.yml 与 CI 配置中的密钥，以及未轮换已泄露凭证。